Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 15.01.2008
Naslov: Zobozdravnik in nujnost vpisa v register IP
Številka: 0712-1074/2007/2
Vsebina: Register zbirk osebnih podatkov
Pravni akt: Mnenje

Spoštovani,

Informacijski pooblaščenec (v nadaljevanju: Pooblaščenec) je dne 5.12.2007 prejel vaše e-sporočilo, v katerem nas sprašujete, če je zasebni zdravstveni delavec – zobozdravnik, ki nima zaposlenih in opravlja le samoplačniško dejavnost, dolžan prijaviti zbirko osebnih podatkov o pacientih, v kateri razpolaga z imenom, priimkom, naslovom, datumom rojstva, telefonsko številko in statusom zob pacientov. Sprašujete tudi, če je status zob občutljiv osebni podatek.

V nadaljevanju vam v zvezi z vašimi vprašanji na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, v nadaljevanju ZVOP-1-UPB-1) ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS) posredujemo naše neobvezno mnenje:  

1.    V skladu z določbami ZVOP-1-UPB-1 je zasebni zdravstveni delavec – zobozdravnik, čeprav nima zaposlenih in opravlja le samoplačniško dejavnost, dolžan vpisati zbirko osebnih podatkov o svojih pacientih v register zbirk osebnih podatkov, ki ga vodi Pooblaščenec.
2.  Status zob pacientov je kot podatek o zdravstvenem stanju posameznika občutljiv osebni  podatek.


O b r a z l o ž i t e v:

1. Vpis v register zbirk osebnih podatkov

ZVOP-1-UPB-1 v poglavju z naslovom Obveščanje o zbirkah podatkov (4. poglavje II. dela) vsebuje določbe o katalogu zbirke osebnih podatkov (26. člen), o obveščanju nadzornega organa (Pooblaščenca) o vzpostavitvi zbirk osebnih podatkov (27. člen) ter določbe o registru zbirk osebnih podatkov, ki ga vodi in vzdržuje Pooblaščenec (28. člen).

Po teh določbah je dolžan upravljavec osebnih podatkov za vsako zbirko osebnih podatkov (razen izjem, ki so navedene v nadaljevanju) vzpostaviti katalog zbirke osebnih podatkov, ki vsebuje izrecno (taksativno) določene vrste podatkov, ki predstavljajo opis zbirke osebnih podatkov. Upravljavec osebnih podatkov je dolžan posredovati z zakonom določene podatke iz kataloga zbirke osebnih podatkov Pooblaščencu za vpis v register zbirk osebnih podatkov najmanj 15 dni pred vzpostavitvijo zbirke osebnih podatkov ali pred vnosom nove vrste osebnih podatkov, v osmih dneh od dneva spremembe pa tudi vse njihove spremembe.

ZVOP-1-UPB-1 v 7. členu določa izjeme od navedenih dolžnosti upravljavcev osebnih podatkov v zvezi s prijavo zbirk osebnih podatkov v register zbirk osebnih podatkov, in sicer so iz kroga zavezancev splošno izvzeti upravljavci osebnih podatkov z manj kot 50 zaposlenimi. Vendar pa med te izjeme, med drugimi, ne sodijo zasebni zdravstveni delavci, izvajalci zdravstvenih storitev ter upravljavci osebnih podatkov, ki vodijo zbirke, ki vsebujejo občutljive osebne podatke in je obdelava občutljivih osebnih podatkov del njihove registrirane dejavnosti (5. odstavek 7. člena ZVOP-1-UPB-1).   Slednji so torej izrecno izvzeti iz kroga tistih upravljavcev osebnih podatkov, ki jim ni treba izpolniti obveznosti iz 26. ter 27. člena tega zakona, torej so zasebni zdravstveni delavci dolžni vzpostaviti katalog zbirke osebnih podatkov in zahtevane podatke posredovati Pooblaščencu z vpisom v register zbirk.

Dejstvo, da zasebni zdravstveni delavec nima drugih zaposlenih ter da opravlja zgolj samoplačniško dejavnost, pri tem ni upoštevno. Določba 5. odstavka 7. člena ZVOP-1-UPB-1 je v tem primeru specialna določba, ki natančno opredeljuje tiste upravljavce osebnih podatkov, ki niso izvzeti iz kroga zavezancev za vpis zbirk osebnih podatkov. Jasen je tudi namen tako določene izjeme od izjem, ki je v zagotavljanju ustreznega, tj. strožjega varstva osebnih podatkov v javnem sektorju, pri določenih vrstah upravljavcev osebnih podatkov ter pri upravljavcih, ki obdelujejo občutljive osebne podatke.

Prav tako ni nobenega dvoma, da navedeni podatki (ime, priimek, naslov, datumom rojstva, telefonska številka in status zob pacientov) predstavljajo zbirko osebnih podatkov, ki jih zasebni zdravstveni delavec – zobozdravnik kot upravljavec obdeluje. Po določbah 6. člena ZVOP-1-UPB-1 je namreč osebni podatek katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen (1. točka tega člena). Posameznik je določena ali določljiva fizična oseba, na katero se nanaša osebni podatek (2. točka navedenega člena). Zbirka osebnih podatkov pa je vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov; pri tem je strukturiran niz podatkov takšen niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika (5. točka navedenega člena). Upravljavec osebnih podatkov pa je fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave (6. točka navedenega člena). Obdelava osebnih podatkov pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov (3. točka 6. člena).      

V skladu z navedenim mora torej zasebni zdravstveni delavec – zobozdravnik, ki nima zaposlenih in opravlja le samoplačniško dejavnost, kot upravljavec osebnih podatkov o pacientih vzpostaviti katalog zbirke osebnih podatkov z vsemi v zakonu zahtevanimi podatki, skrbeti za točnost in ažurnost vsebine kataloga ter posredovati določene podatke iz kataloga Pooblaščencu, kar se opravi z vpisom v register zbirk v skladu z navodili na spletni strani Pooblaščenca (www.ip-rs.si).

2.    Občutljivi osebni podatki in njihova obdelava

Občutljivi osebni podatki so opredeljeni v 19. točki 6. člena ZVOP-1-UPB-1 kot podatki o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske evidence ali prekrškovne evidence.

Status zob kot podatek o zdravstvenem stanju sodi med občutljive osebne podatke, ki se lahko obdelujejo le po posebnem režimu. Med izrecno določene primere, v katerih je obdelava občutljivih osebnih podatkov sploh dopustna, zakon uvršča tudi primer, če jih za namene zdravstvenega varstva prebivalstva in posameznikov ter vodenja in opravljanja zdravstvenih služb obdelujejo zdravstveni delavci in zdravstveni sodelavci v skladu z zakonom (6. točka 13. člena ZVOP-1-UPB-1). Zasebni  zdravstveni delavec, ki opravlja zdravstveno dejavnost v skladu z Zakonom o zdravstveni dejavnosti (Uradni list RS, št. 23/05, v nadaljevanju ZZDej-UPB2), je glede zbirk podatkov s področja zdravstvenega varstva, zbiranja, obdelave in posredovanja podatkov dolžan ravnati po Zakonu o zbirkah podatkov s področja zdravstvenega varstva (Uradni list št 65/2000, v nadaljevanju ZZPPZ). Za zbiranje, obdelavo in posredovanje osebnih podatkov, vsebovanih v zbirkah podatkov s področja zdravstvenega varstva, se uporabljajo določbe zakona o varstvu osebnih podatkov, kolikor ZZPPZ za posamezne primere ne določa drugače (2. člen ZZPPZ). To pomeni, da se ZVOP-1-UPB-1 v zvezi s podatki s področja zdravstvenega varstva uporablja kot splošni, ZZPPZ pa kot specialni predpis. Slednji tako v 5. členu določa, da so v posebni Prilogi, ki je sestavni del tega zakona, opredeljene vrste in vsebina posameznih zbirk podatkov s področja zdravstvenega varstva, njihov namen, obdobna poročila, kdo mora posredovati podatke in kdaj, upravljavec zbirke, način dajanja podatkov in čas hranjenja podatkov.

V prilogi ZZPPZ je tako pod zaporedno številko IVZ 1. opredeljena osnovna medicinska dokumentacija, ki jo kot zbirko upravljajo vsi izvajalci zdravstvene dejavnosti. V vsebino osnovne medicinske dokumentacije pa sodijo, med drugim, EMŠO, številka zdravstvenega zavarovanja, ime in priimek, genogram, zakonski stan, izobrazba, poklic, naslov stalnega bivališča, naslov začasnega bivališča, telefon, diagnoza in vrsta drugih operativnih podatkov.

Vsi podatki, za katere torej sprašujete, vključno s statusom zob kot občutljivim osebnim podatkom, so del osnovne medicinske dokumentacije in jih je zasebni zdravstveni delavec upravičen (in dolžan) zbirati. Za zakonite namene zbrani osebni podatki pa se le-ti ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s temi nameni (16. člen ZVOP-1-UPB-1), zato ZZPPZ natančno predpisuje te namene, pa tudi način evidentiranja podatkov.   

V skladu z določbami ZZPPZ in ZVOP-1-UPB-1 zlasti opozarjamo na strožji režim zavarovanja občutljivih osebnih podatkov, tj. sprejem in izvajanje ustreznih organizacijskih, tehničnih in logično-tehničnih postopkov in ukrepov, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava. Občutljivi osebni podatki morajo biti pri obdelavi posebej označeni in zavarovani tako, da se nepooblaščenim osebam onemogoči dostop do njih.

Upravljavec osebnih podatkov je poleg omenjenega dolžan zagotoviti popolnost in resničnost oziroma točnost in ažurnost osebnih podatkov.           

Lepo vas pozdravljamo,

Informacijski pooblaščenec:
Nataša Pirc Musar, univ. dipl. prav.,
pooblaščenka